黎声旭如果你身边有一个天天抱着BurpSuite点来点去的安全工程师，你问他最常用的功能是什么，大概率不是那些花哨的扫描插件，而是最朴素的抓包和改包。BurpSuite，一个几乎被Web安全人当成吃饭家伙的工具，靠的是「代理」这两个字起家的：把浏览器的流量引到它那里过一遍，让你看清楚每一次请求的来龙去脉，然后在你觉得不对劲的地方手动改上一改，这就是抓包、改包的完整闭环。
这篇内容适合三类人：刚接触Web安全、想知道BurpSuite到底怎么用的新手；做前后端联调时经常遇到奇怪问题、想看看真实请求内容的开发者；以及纯粹对「网页背后发生了什么」好奇的同学。我今天把场景限定在「无加密」的HTTP网页，因为在这个场景下，不需要操心证书、加解密、流量混淆这些额外的东西，你看到的每一个字节都是明文，抓包改包的原理能看得最清楚。
1. 为什么先从无加密网页学抓包
1.1 无加密HTTP流量意味着什么
很多人第一次听说抓包，以为是什么很高深的技术，其实原理特别朴素。浏览器要访问一个网站，会往服务器发送一段文本，这段文本里包含了你要访问的地址、你使用的浏览器类型、你填写的表单数据等信息。服务器收到后，会返回另一段文本，这段文本就是网页的HTML代码、图片数据、接口返回的JSON等等。
关键在于，在无加密的HTTP协议下，这段文本是完全裸奔的。它就像一张明信片，中间经过的任何节点都能直接看到内容。而BurpSuite做的事情，就是在你和服务器之间扮演一个「中间人」的角色：浏览器的流量先发给BurpSuite，再由BurpSuite转发给服务器；服务器返回的内容也先回到BurpSuite，再由BurpSuite转发给浏览器。
所以BurpSuite能看到两端之间所有的明文内容，这就是抓包。看到之后，你可以在数据被转发出去之前修改它，这就是改包。
1.2 BurpSuite在无加密场景下的工作方式
BurpSuite的工作方式可以用一个很形象的类比来解释：你网购了一件商品，快递送到你手上之前，要先经过小区物业的收发室。物业可以拆开包裹检查，也可以在你确认之前把包裹里的东西换掉，再决定是否送给你。BurpSuite就是那个物业，浏览器是买家，网站服务器是卖家。
在默认情况下，BurpSuite会监听本机的8080端口。你在浏览器里配置代理，把流量指到这个端口，BurpSuite就能接管所有HTTP请求。对于无加密网页来说，这个过程不需要额外的配置，因为数据本身没有加密，BurpSuite直接就能解析。这也是为什么我强烈建议新手从无加密网页入手，因为你可以把全部精力放在理解抓包原理上，而不是被证书问题折磨得死去活来。
1.3 这套流程能解决什么问题
抓包改包听起来简单，实际能做的事情非常多。调试接口时，你可以看清楚前端到底发送了什么数据给后端，排查是参数名写错还是字段类型不对；做安全测试时，你可以绕过前端页面的输入限制，直接修改请求数据，测试后端有没有做好校验；分析网站功能时，你可以通过观察请求规律，搞明白一个按钮背后调用了哪些接口、传了什么参数。
我见过不少做开发的同学，遇到接口报错第一反应是打开浏览器F12看Network面板。Network面板确实能看到请求，但它不能修改请求。而BurpSuite不仅能看到，还能在你点击「发送」的瞬间把请求拦截下来，改了再放行。这种能力在测试越权漏洞、改价格、绕前端校验时特别有用，也是BurpSuite能成为安全测试标配工具的根本原因。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 环境准备：安装、启动与代理配置
2.1 Java环境与BurpSuite安装
BurpSuite是Java写的，所以第一步是确保本机有可用的Java环境。打开终端或者命令提示符，输入：
bash复制java -version
如果显示类似java version "1.8.0_xxx"或更高的版本号，说明环境没问题。如果没有，先去Java官网下载对应系统的JDK安装包，装完再回来继续。这里有个小建议：BurpSuite对Java版本不算挑剔，但太老的版本比如Java 7可能带不动，装Java 8或Java 11以上比较稳妥。
BurpSuite的安装包是一个JAR文件。官方提供的免费社区版（Community Edition）已经够用，基本的代理、拦截、重放功能都有。如果你用的是国内下载的整合包，打开方式基本一样。Windows下可以直接双击运行，也可以使用命令行启动：
bash复制java -jar burpsuite.jar
启动之后会看到两个选项：Temporary project和Permanent project。其实之前首次启动时还可以选Use Burp defaults，也就是使用默认配置。建议选Use Burp defaults，后面需要改再手动调整。
2.2 两种启动方式：临时项目与持久项目
这里说一下为什么会有临时项目这个选项。BurpSuite的项目文件会保存你的配置、历史请求、目标范围等数据。选Temporary project代表开启一个全新会话，关闭软件后数据不保留；选Permanent project会要求你指定一个项目文件，以后所有操作都会实时保存。
初学者建议直接选临时项目，因为刚开始练习不需要保留太多数据，而且临时项目启动更快、更干净。等后面真正做测试项目了，再使用持久项目来保留每个目标的请求记录和测试进展。配置文件也有讲究：第一次启动时BurpSuite会生成一个默认的用户配置，比如字体大小、代理端口、快捷键等，这些和项目数据是分开存储的，即使换了项目文件，你的个人偏好也能保留。
2.3 配置浏览器代理
BurpSuite默认在127.0.0.1:8080端口监听，但这一步不会自动生效，你必须告诉浏览器「把流量转发到那里去」。不同浏览器配置方式略有不同，但核心逻辑一样。
以Chrome浏览器为例，我习惯的做法是安装SwitchyOmega这类代理插件，方便一键切换代理，比手动改系统代理好很多。装好插件后，新建一个代理配置：
- 代理协议：HTTP
- 代理服务器：127.0.0.1
- 代理端口：8080
保存并切换到该配置。如果你不想装插件，也可以直接修改系统代理设置：Windows下在「设置 -> 网络和Internet -> 代理」中打开手动代理，填入地址和端口；macOS下在「系统偏好设置 -> 网络 -> 高级 -> 代理」中配置。Firefox浏览器相对特殊，它在「设置 -> 网络设置」里可以单独配置代理，不依赖系统代理，这也是很多人喜欢Firefox配合BurpSuite的原因。
2.4 验证代理是否生效
配置完代理后，怎么确认BurpSuite真的接管了流量？很简单，打开BurpSuite的Proxy标签页，切到HTTP History子标签，然后在浏览器访问任何一个HTTP网站，比如http://httpbin.org。如果HTTP History里出现了对应的请求记录，说明代理已经生效。
这里要提醒一个很常见的坑：如果浏览器地址栏输入的是https://开头的地址，BurpSuite默认会弹出一个证书错误页面，因为HTTPS场景需要安装BurpSuite的CA证书，这一步不在本文的讨论范围。你做练习时请一定访问HTTP开头的地址，或者用http://httpbin.org这种明确支持HTTP的站点。如果暂时找不到合适的HTTP网站，也可以自己在本机搭建一个简单的HTTP服务，后面我会说到。
3. 抓包实操：把请求“看”清楚
3.1 用HTTP History回溯所有流量
很多人打开BurpSuite手忙脚乱，不知道先看哪里。我的建议是先从HTTP History这个面板开始。它相当于一个流量日记本，记录了经过BurpSuite的所有请求和响应。每条记录包含时间、客户端IP、方法、URL、状态码、响应大小、MIME类型等信息，清晰得像一张表格。
HTTP History有个特别好用的地方：你不需要开着拦截模式就能记录流量。也就是说，浏览器正常访问，所有请求已经被默默记录下来了。如果只是想排查问题、分析网页调用了哪些接口，完全可以不开拦截，事后在History里翻记录就行。需要查看某一个请求的完整内容时，点击它，右侧会显示对应的Request和Response，非常直观。
3.2 开启拦截，实时观察请求
拦截模式是BurpSuite最让人上头的功能之一。打开Proxy标签页下的Intercept子标签，点击Intercept is off按钮，让它变成Intercept is on，这时候再点击网页上的按钮或提交表单，就会发现浏览器页面一直转圈，请求没有发出去。切回BurpSuite，你看到的就是被拦下来的请求。
页面转圈的原因很简单：请求到了BurpSuite这里，被冻结了，BurpSuite在等你做决定。此时你可以完整查看这个请求的内容，可以修改，也可以直接点击Forward按钮放行，或者点击Drop按钮丢弃。如果你开了拦截又不想管它，页面会一直卡住，这是新手最容易遇到的问题。所以不拦截时一定记得把开关切回Intercept is off。
3.3 解密一个典型的POST表单请求
为了更直观地理解抓包看到的内容，我拿一个场景举例：你在一个HTTP网站上填写登录表单，输入用户名和密码后点击登录，BurpSuite拦截到的请求大概长这样：
http复制POST /login HTTP/1.1
Host: httpbin.org
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: text/html,application/xhtml+xml
Content-Type: application/x-www-form-urlencoded
Content-Length: 29
username=admin&password=123456
第一行是请求行，包含请求方法POST、路径/login和HTTP版本。接下来的Host、User-Agent等是请求头，告诉服务器各种元信息。空行之后是请求体，也就是表单提交的数据。注意看Content-Type是application/x-www-form-urlencoded，这种格式下表单字段会用&连接、用=分隔键值对。
密码在这个场景下就是明文的，所以抓包能直接看到。这就是为什么我反复强调不要在非HTTPS网站输入重要密码的原因。BurpSuite能看到，任何网络路径上的节点理论上也能看到。
3.4 抓包时的三个小习惯
抓包看似简单，但实际操作中有几个习惯能帮你省很多麻烦。第一，看请求时先看方法再看路径，POST和GET的语义完全不同，路径决定请求打到哪个接口；第二，关注Content-Type，它决定你提交的数据格式，是表单格式、JSON还是其他类型；第三，对比多个相似的请求，找出它们之间的差异，往往能帮你快速定位问题。
还有一个小技巧：在HTTP History里按请求类型过滤。比如只看POST请求，或者只看某个主机的请求，可以用顶部的Filter输入框输入条件。默认filter只显示已记录的内容，如果发现某些请求没显示，检查一下是不是filter配置得太严格了。
4. 改包实操：修改数据再放行
4.1 在拦截模式下直接改包
抓包只是第一步，改包才是BurpSuite的灵魂。所谓改包，就是在请求被拦截的时候，直接修改Request中的任意内容，然后点Forward放行，让服务器接收到你修改后的数据。
修改Request内容的方式特别简单，它就是一个可编辑的文本框。你可以在请求行里把/login改成/admin，可以在请求头里加一个X-Forwarded-For: 1.2.3.4，也可以把请求体里的price=100改成price=1。所有修改都即时生效，Forward之后服务器收到的就是你改完的版本。
有一次我在调试一个下载功能，明明浏览器点了下载却没有任何反应，抓包一看，发现前端把文件名参数编码了两次，导致后端解析不到正确的文件名。我在拦截状态下把参数改回正确格式，Forward之后下载直接成功。这个经历让我意识到，前端和后端之间的「理解偏差」有时候抓个包就能看得明明白白。
4.2 用Repeater完成请求重放
拦截改包适合单次操作，但如果要向服务器反复发送同一个请求、观察不同响应，Repeater是更好的选择。它的工作方式是：把一个请求原封不动地打包发送到服务器，然后显示服务器返回的完整响应。
主流用法是先在HTTP History里找到感兴趣的请求，右键选择Send to Repeater，或者按快捷键Ctrl+R。然后切到Repeater标签页，可以看到这个请求已经被完整复制过来了。你可以随意修改任意字段，点击Send按钮发送。每次发送后，右侧会显示服务器的响应内容，方便你对比不同修改带来的结果。
Repeater最方便的地方在于：修改请求变得更安全和可控。不会像拦截模式那样影响浏览器的正常访问，也不会出现忘了Forward导致页面卡死的尴尬。做安全测试、接口调试时，我大部分时间都泡在Repeater里。
4.3 一个完整的改包演示：修改表单参数
我拿一个典型的越权测试场景来做演示。假设一个网站有一个查看用户资料的页面，点击进去后发出的请求是：
http复制GET /user/profile?id=1001 HTTP/1.1
Host: example.com
Cookie: session=abc123
我怀疑后端没有校验当前登录用户和id参数是否匹配，于是把id从1001改成1002，点Forward，看服务器会不会返回另一个用户的资料。如果返回了，说明存在越权漏洞，后端只取了参数没做身份校验。
在整个流程里，拦截模式和Repeater都能完成这个操作。区别在于：拦截模式适合「用浏览器正常操作时顺手改一下」，Repeater适合「反复尝试多个不同的id值」。日常测试中我通常是两个结合：先用拦截模式理解一次正常请求，再用Repeater做批量测试。
4.4 改包的边界与注意事项
改包做久了你会发现一个核心道理：前端所有的限制都只是「建议」，真正决定结果的是后端。前端把价格字段设置为只读、隐藏了管理入口、限制了输入长度，这些都拦不住一个懂得改包的人。所以后端的每个校验都必须认真做，不能指望前端替你兜底。
但也要提醒一句：改包是用来做授权范围内的安全测试、学习研究、调试自己负责的系统，不是用来偷偷改别人网站的。没有授权就动手，那不是技术问题，是法律问题。任何正经的安全工程师，做测试前都会先确认测试目标是否有授权。
5. 常见问题与排查技巧实录
5.1 抓不到流量怎么办
最常见的排障顺序是：先看BurpSuite的代理端口是否正常监听，再看浏览器是否把代理指向了这个端口，最后用一个简单的HTTP网站测试。如果浏览器能打开http://httpbin.org但BurpSuite没有记录，大概率是代理没生效，检查浏览器插件或系统代理设置。
还有一种情况：浏览器插件本身有代理规则，比如SwitchyOmega设置了「直连」或「按规则代理」，导致请求没走BurpSuite。建议在练习期间把所有规则清掉，只保留一个指向127.0.0.1:8080的代理配置，避免误判。另外，有些浏览器插件会开启「智能代理」，根据域名自动决定是否代理，这也会让部分请求绕过BurpSuite。
5.2 页面卡住不动是为什么
如果浏览器页面一直转圈，但BurpSuite的Intercept面板里能看到被拦下来的请求，说明你开着拦截模式但没有Forward。解决办法是回到BurpSuite，点击Forward放行该请求，或者切换到拦截关闭状态，让后续流量直接通过。
还有一种情况是拦截模式开着，同时页面有大量并发请求，被拦截的请求堆积在队列里。你在Intercept面板看到的只是其中一个，点击Forward后会发现又来一个。如果暂时不想处理，直接关掉Intercept开关最快。
5.3 中文与编码显示问题
BurpSuite默认显示原始字节，如果请求或响应里有中文，可能看到的是%E4%B8%AD%E6%96%87这类URL编码。这个不是乱码，而是浏览器把中文做了百分号编码。BurpSuite的Raw面板里可以直接改这些编码，也可以切到Params面板，那里会把参数解析成键值对，中文会正常显示。
在HTTP头里出现中文的情况相对少见，因为HTTP规范建议头字段使用ASCII字符。如果看到响应里的中文乱码，通常需要检查Charset设置，是UTF-8还是GBK。BurpSuite的响应面板通常能根据Content-Type正确解码，如果解码不对，可以手动修改Content-Type: text/html; charset=utf-8来指定编码。
5.4 HTTPS与证书：先学会区分
本文说的无加密网页抓包不需要安装证书，因为HTTP本身没有加密，BurpSuite直接就能看懂。但现代网站绝大多数都是HTTPS，你要抓这些网站的包，就必须先让BurpSuite信任自己的CA证书，再把这个证书安装到浏览器或系统里。
具体操作是：浏览器代理配置好后，访问http://burp，页面会提供证书下载入口。下载证书后，在系统证书管理里把它导入为受信任的根证书颁发机构。装好后，HTTPS流量才能被BurpSuite解密。这个过程对于协议理解很重要，但如果你刚入门，建议先彻底掌握HTTP场景的抓包改包，再碰HTTPS证书，否则容易一头雾水。
5.5 随手能用的几个小技巧
匹配替换功能（Match and Replace）可以自动修改特定请求头或请求体。比如想在所有请求里统一加入一个测试Header，不用手动一个一个改，直接配置规则自动替换。还有快捷键Ctrl+F可以搜索当前面板内容，Ctrl+Shift+F可以跨所有History记录搜索，在排查问题时特别好用。
另外，建议将BurpSuite界面右上角的Search功能用起来。它能对已记录的请求和响应做全文搜索，比如我想知道之前有没有请求包含password字段，直接全局搜索，所有相关记录都会列出来。
6. 从入门到上手的几点经验
6.1 先把HTTP协议学扎实
我用BurpSuite越久越发现，工具本身只是载体，真正有价值的是你对HTTP协议的理解。状态码301、302、403、404、500分别代表什么，GET和POST的语义差异，Cookie和Session的关系，这些基础知识越扎实，你抓包改包时的思路越清晰。
建议你每天花几分钟抓几个常见网站（比如新闻、天气、搜索）的请求，看看它们调用了哪些接口、传了什么参数、返回了什么数据。不需要懂什么高深技巧，看多了你自然会对Web应用的运作方式有感觉。这种练习完全合法，也很安全，每个人都可以做。
6.2 进阶路线推荐
当你把无加密网页的抓包改包练熟之后，下一步就是学习HTTPS证书的安装与信任机制，这是BurpSuite在实际工作中最常见的场景。然后可以尝试使用Intruder模块做参数爆破、使用Scanner模块做基础漏洞扫描，但请记住，这些功能都建立在一个基础上：你能熟练地看懂请求、修改请求、分析响应。
还有一条值得走的路线是学习写BurpSuite扩展脚本，用Python或Java编写自己的插件，自动处理一些重复性工作。比如自动给请求加签名字段、自动扫描敏感信息返回等。这些看起来进阶，但其实一旦你熟悉了BurpSuite的界面和API，写插件没有想象中那么难。
我在实际使用中的一个体会是：BurpSuite这工具，上手门槛很低，但越用越能发现它的深度。很多人一开始只想解开「为什么我的网页请求报错」这种眼前的问题，结果学着学着，反而把HTTP协议、前后端交互、Web安全的基础都打通了。所以别着急，一步一步来，先在无加密网页上把流程跑通，再去挑战更复杂的场景。
最后分享一个实用建议：练习时自己搭一个本地HTTP环境，哪怕是一个简单的表单页加一个后端处理脚本，也比在外面乱找HTTP网站方便。本地环境你能观察到完整的请求响应链条，也能自由改包测试，不用担心影响别人。把基础打牢之后，再回到现实中的HTTPS网站，你会发现许多问题都迎刃而解了。